Друзья, я сломал мозг.
Подскажите, как прозрачно перенаправить трафик с одного сервера на другой. Оба сервера на Debian, на обоих по 3-4 белых ip. Вариант с iptables, DNAT и маскарадом не катит т.к. на сервере куда передаётся трафик в запросах должны светиться ip клиентов, а не сервера транслирующего трафик.
33 Responses to Debian — как прозрачно перенаправить трафик с одного сервера на другой ?
Добавить комментарий
Последние просмотренные
Выбираю китайский планшет
Здравствуйте, коллеги и братья во железе, Выбираю китайский планшет, кипит мозг. Посоветуйте, 10-9 дюймовый, с...debian/gnome.
debian/gnome.Открываю запись в KeePass, через Ctrl-C копирую в буфер пароль. Перехожу в gnome terminal, пукт Paste в менюшке...поставить в офисе дополнительный контроллер и завести уже всех-всех в домен.
Привет, уважаемые. Ситуация: Основной контроллер домена в датацентре, за натом (Windows SBS 2008). Очень хочется...Думаю, тут оценят мою шутку про js:— true === true!
Думаю, тут оценят мою шутку про js: — true === true!— Спасибо, Капитан JS!@import и http-request
Коллеги, есть пяток цссов, водключаемых через @import. Создает ли каждый @import http-request или нет? на стековефлоу...Закончилось место на системном диске С.
1. Двигать раздел диска С и D это, как я понимаю, русская рулетка. 2. А вот где сейчас в DC можно купить 2,5″...комп включается на несколько секунд после этого отрубается
Буду краток: я поставил себе в комп новый БП chieftec a135 550c. С тех пор комп включается на несколько секунд, не...Сайт начал показывать дубли страниц
Я СНОВА ВЫХОЖУ НА СВЯЗЬ! Сайт после модернизации начал показывать дубли страниц Было:...Доброе утроподскажите пожалуйста
Доброе утро подскажите пожалуйста как в wordpress, установленный в интранет, в записи разместить видеоролик,...Пацаны, подскажите, пожалуйста решение задачи с уведомлениями хромовскими.
Пацаны, подскажите, пожалуйста решение задачи с уведомлениями хромовскими. Есть у меня некие уведомления. У...
тунельчик ip-over-ip?
Надо понимать, что светиться они должны не в веб-сервере и вообще в приложениях, где нет штуки типа X-Forwarded-For, да?
IP-спуфинг – это подмена адреса отправителя, одного из полей IP-заголовка, методом записи другого значения. Сложность заключается в том, что машина, получив заголовок с таким адресом, отправит ответ на этот адрес, а не на адрес крэкера.
можно обратно в тунель зарулить через PBR
скажи хоть что за трафик то
Stephan-V: да, это подойдёт. Я загуглил слово ipencap.
обычный UDP трафик. сервера стрелялок всяких там висят.
Stephan-V: то есть мутить туннель между этими серверами и слать трафик в него?
Я, конечно, всегда в подобных постах против оффтопика и уклонения от ответа на конкретно заданный вопрос. Но здесь приемлемый ответ уже дан, поэтому всё-таки позволю себе спросить: а ты не рассматривал вариант поставить простую железячку вместо горождения туннелей?
есть чо? Не уверен. Мне через 4 машины в одном ДЦ нужно транслировать трафик (и отдавать) на 30 машин в другом ДЦ.
стандартный gre туннель вроде решит твои проблемы.
почему бы тебе через одну-две железки не транслировать трафик на все 34 машины, не загружая 4 из них простыми туннелями?
курить racoon?
зачем?
…
я б ipip воспользовался, зачем GRE
Stephan-V: да чет привык я как-то
упёрся в маршрутизацию: поднял gre туннель между сервером А х.х.х.х (10.9.8.1) и сервером В у.у.у.у (10.9.8.2), пытаюсь завернуть трафик
на сервере А
route add -net х.х.х.х netmask 255.255.255.252 gw 10.9.8.1 dev tun0
неидёт :
ip r sh?
tcpdump -i tun0?
это неправильная идея вообще. маршруты между серверами у тебя итак правильные, между ними должны напрямую ходить только пакеты тунеля. а через тунель тебе нужно завернуть маршруты ко всем хостам при условии, что порт отправителя — порт твоего приложения. в этом тебе поможет PBR. а чтобы из тунеля трафик достигал цели, тебе нужно выключить rp_filter
и пусть все знают где я работаю
на сервере А
ip r sh
188.127.246.124/30 via 10.0.201.1 dev tun0 scope link
запускаю ping ip_на_котором_туннель
tcpdump -i tun0 -n
тишина
я б вообще на туннелях не стал адреса поднимать
а что за железки то? я ж не настоящий сварщик, пока, — в утюгах не разбираюсь :
я тоже не знаю 🙂 кошками точно можно, чем-то подешевле — не знаю.
nc (netcat) может слушать на одном порту и перекидывать на другой
может, но у меня на вскидку больше 1200 пар — gateway_ip:port -> target_ip:port получается. 1200 nc запускать как то сыкотно.
А что, для iptables нельзя написать правило, которое будет подменять source-ip?
можно, если нужно изменять на один и тот же адрес. А у меня нужно менять на адрес клиента, коих тысячи :
Stephan-V: снова взялся за этот кактус.
Почитал про PBR, делаю
ip route add default via 10.0.201.2 table 120
ip rule add from all to 83.222.115.30 table 120
По идее же если извне пинговать 83.222.115.30 tcpdump -i tun0 должен что то ловить?
Или опять ошибаюсь?
Stephan-V: ну и sysctl net.ipv4.conf.tunl0.rp_filter=0 сделал
критерием должен быть порт приложения
Stephan-V: да чёрт с ним с портом. весь трафик же можно таким образом перенаправить. Или обязательно iptables маркать пакеты и fwmark в правилах iproute использовать?
если ты весь трафик хочешь направить через туннель, тогда вообще всё просто — маршрут к пиру тунеля через реальный гейт, а дефолтным dev tun0
Stephan-V: как то так
ip route add 10.0.201.2 via 83.222.115.30 dev tun0
ругется мол нет процесса — «RTNETLINK answers: No such process»
никакого via